Juniper Cisco全数设备攻击防入侵控制
Juniper网络ISG-1000和CiscoASA5540附加SSM-20IPS模块提供不折不扣IPS产品,使安全净化者满意配置和控制特征
可选网站保护程序管理工具使用后,你能得到所有强IBM/ISSIPSIDS系统法医学报告工具产生奇异二分法 几乎无法管理IPS 做得很好企业网络管理者不满足于这种配置水平,因为一旦假正数显示,IT对Proventia MX5010配置的反应从Wow传到'你一定开个玩笑'.IBM/ISS取用分支办公UTM并提升性能达惊人高位,但并未提升管理控制达企业标准
应用规则流量
UTM防火墙介面内外部通信或甚至保护用户网络和非军事区或服务网络,对Web客户和Web服务器有不同的策略似乎是显而易见的要求。IPS部分实现令你定义专用地址 由每个签名保护 上百甚至上千个签名的重担 高得离谱 我们不认为现实替代多重策略
JuniperISG-1000和SG-520M在防火墙策略和IPS策略之间有密切关联,WatchGuard消防盒也是如此举例说,当Juniper ISG-1000中的每一防火墙策略规则创建时,规则可具体说明该流量是否也发送IPS之后,IPS流量可选择一组不同的IPS签名应用其余防火墙不提供弹性 连接规则流量
安全计算侧风器支持不同区的不同IPS策略侧风器仅在软件最新版上获取IPS能力-最近安全计算系统不得不修复防火墙中的窃听器,以便IPS检测阻塞攻击GUI管理IPS极弱查看签名信息时,必须登录使用命令行接口(CLI),浏览防火墙目录并查看签名存储文件
结构化安全计算技术有正确思想,但因为你可以定义数组签名并逐项应用不幸地 版本运货管理控件 需要大量工作 无法严肃地视侧风器为企业级IPS
FortinetFortiGate3600A、SonicWallpro5060和WatchGuard消防箱峰值8500e中发现IPS比较适合小型到中型企业市场三者都普遍缺乏配置能力FortiGate3600A拥有全系统所有签名启动或禁用功能,没有能力分组处理签名和Fortinet高级特征一样,获取IPS某些部分的唯一方法,如向某些签名添加可信IP地址,是通过CLI实现的测试中,我们无法在FortiGate3600A或SonicWallPro5060创建不同的服务器保护客户保护剖面图,而不投入我们认为不切实际的时间理解并人工赋能或禁止数千个签名
WatchGuardFirebox峰值8500e最接近这三个方向正确方向,并有粗略预定义的“server”、“client”和“both”剖面企业管理者寻找更多配置控制同样快速受挫, 因为Firebox峰没有这些控件
PSlite
轻量IPS技术配置复杂性较低,包括检点软件智能防御技术(所有平台都可用)、Cisco协议检验技术(它建入ASA5540,不需加上IPS模块上文讨论)、Juniper深入检验技术(我们在SG-520M测试)和WatchGuard技术消防盒峰值X8550e安全计算2150D
轻量IPS提供的保护水平比传统签名IPS低,因为它们覆盖攻击和误用场景少,并难以覆盖替代端口和协议并比起Juniper和Cisco重签名IPS少技术理解
网络管理者想在外围防火墙内使用IPS, 但却不特别关心特定策略和流流,智能防御需要从管理角度调整首次向市场介绍时,只有几十种选项设置检验点团队改进智能防御后,多选项增加,难于正确配置而不是小数复选框, 现在有数以百计选项划分成一套疑惑式协议和应用程序检验点已获取IPS-IDS供应商NFR, 我们希望未来版本能大改能力、配置选项和管理风格
PS捕获率
Mu安全M4000测试工具使我们知道这些产品保护多好不受公开漏洞影响,这是签名IPS应光照的地方(见图形化)无法测量伪阳性
IBM/ISS验证MX5010是客户端和服务器场景中最顶级得分者,比任何其他产品都多地捕捉到我们投向它的攻击事件,大都差极多。75%客户攻击率和44%服务器使用默认设置攻击率,Proventia对测试有强IPS覆盖JuniperISG-1000跌到验证程序下方,设定默认设置时抓取服务器攻击数之多,但客户端攻击数不尽
观察卫士滑入JuniperISG-1000下方检验点平台安全计算和声波演练保护服务器IPS Astaro互联网安全ASG425a略低于JuniperISG-1000和IBM/ISSProventia MX5010
有趣的结果来自测试侧风器和ISG-1000防火墙安全计算器长久以来推广代理架构比检验点、思科和朱尼伯等商用包过滤法更安全IPS测试不支持Sidewinder2150D测试时只使用代理程序不使用IPS,然后将之与Juniper防火墙比较而不启用IPS
发现侧风代理器没有IPS比包过滤防火墙没有IPS有效阻塞攻击Sidewinder阻塞7%客户攻击和14%服务器攻击包过滤Juniper防火墙阻塞5%客户攻击和17%服务器攻击
侧风器可能在某些地区提供附加安全,但代理器不能替代IPS
更多了解这个题目
买家指南:统一威胁管理
单机IPS死吗09/26/07
Raybet2版权2007IDG通信公司